dopaminadarktheme
Full Dopamina Dark Theme
No dia 3 de dezembro de 2025, o time do React divulgou um alerta de segurança importante sobre uma vulnerabilidade crítica no React Server Components (RSC) que pode afetar aplicações em produção.
O que aconteceu?
Foi identificada uma falha de execução remota de código sem autenticação (unauthenticated remote code execution, ou RCE) em como o React lida com payloads enviados para endpoints de React Server Function. Isso significa que um atacante pode enviar uma requisição HTTP especialmente criada e executar código arbitrário no servidor, sem necessidade de estar autenticado.
Essa falha foi registrada como CVE-2025-55182 e recebeu pontuação máxima de severidade (CVSS 10.0) — o que indica risco Grave/Crítico para sistemas em produção.
Quais versões estão afetadas?
Apenas versões específicas das bibliotecas de Server Components estão vulneráveis:
react-server-dom-webpack
react-server-dom-parcel
react-server-dom-turbopack
Nas versões:
19.0.0, 19.1.0, 19.1.1 e 19.2.0
Se você estiver usando qualquer uma dessas, sua aplicação pode estar exposta.
Impacto real
Mesmo se sua app não expõe explicitamente endpoints de Server Functions, ela ainda pode estar vulnerável se suporta React Server Components ou depende de frameworks/bundlers que os utilizam, como:
- Next.js
- React Router
- Waku
- @vitejs/plugin-rsc
- rwsdk
Esses pacotes podem incorporar as versões vulneráveis das bibliotecas acima como dependências internas.
Além disso, há provas de exploração ativa sendo observadas na internet logo após a divulgação, com botnets e grupos de ataque direcionando tráfego para explorar essa falha em sistemas desatualizados.
O que fazer agora (ações imediatas)
✅ Atualize imediatamente suas dependências para versões que incluem a correção:
✔️ react-server-dom-webpack ≥ 19.0.1
✔️ react-server-dom-parcel ≥ 19.1.2
✔️ react-server-dom-turbopack ≥ 19.2.1
Também é recomendado atualizar frameworks que dependem dessas bibliotecas (por exemplo, Next.js para as versões post-correção)
Seja Membro Gratuítamente
Assine a newsletter para receber em seu email as publicações atualizadas neste blog